Компания Google приостановила прием новых заявок на уязвимости в рамках программы Open Source Software Vulnerability Reward Program (OSS VRP) с 1 октября 2026 года. Причиной стал поток низкокачественных автоматизированных отчетов, созданных с помощью инструментов искусственного интеллекта.
По данным Google, многие из этих сообщений содержали галлюцинации или описывали проблемы, не имеющие реального значения. Поскольку программа требует ручной проверки каждого отчета, наплыв невалидных данных создал чрезмерную нагрузку на инженеров по безопасности и сопровождающих open-source проектов.
На время паузы Google рекомендует исследователям использовать другие площадки, включая программу Patch Rewards. Ранее, в марте 2026 года, компания ужесточила критерии приема заявок, а также внесла изменения в программы вознаграждений для Android и Chrome, чтобы сократить поток некачественных отчетов.
Google планирует пересмотреть правила работы программы и представить обновленный формат в первом квартале 2027 года. С аналогичными проблемами из-за генеративного ИИ столкнулись и другие участники рынка, включая Intel, разработчиков ядра Linux и программу Internet Bug Bounty.
